Biaya uji penetrasi (pentest): ruang lingkup, hari kerja penguji, uji ulang, dan cara membaca penawaran

Harga uji penetrasi hampir selalu berasal dari satu rumus: jumlah hari kerja penguji × tarif harian, ditambah uji ulang setelah celah diperbaiki. Jumlah hari ditentukan oleh ruang lingkup: berapa aplikasi, berapa peran pengguna, berapa endpoint API, berapa alamat IP, dan apakah pengujian dilakukan dari luar, dari dalam jaringan, atau terhadap konfigurasi cloud. Penawaran yang jauh lebih murah biasanya berisi lebih sedikit hari atau pemindaian otomatis yang diberi label "pentest". Sebelum membandingkan harga, samakan dulu ruang lingkup, metode, dan isi laporan. Semua angka di sini adalah ilustrasi.

Panduan ini bagian dari panduan harga layanan keamanan siber terkelola. Uji penetrasi membutuhkan izin tertulis; aspek hukumnya ada di izin uji penetrasi menurut KUHP baru. Tata kelola yang menentukan kapan pentest perlu dijelaskan di biaya CISO virtual, dan pemantauan yang melengkapinya di harga firewall dan EDR terkelola.

Pemindaian kerentanan bukan uji penetrasi

Keduanya berguna. Masalah muncul bila klien atau auditor meminta laporan uji penetrasi dan yang diserahkan adalah hasil pemindaian.

Faktor yang menentukan jumlah hari

• Aplikasi web: jumlah halaman fungsional, peran pengguna (pelanggan, admin, mitra), alur pembayaran, unggah berkas.
• API: jumlah endpoint, metode autentikasi, dan apakah dokumentasi tersedia.
• Aplikasi seluler: Android dan iOS dihitung terpisah, ditambah API di belakangnya.
• Jaringan eksternal: jumlah IP publik dan layanan yang terbuka.
• Jaringan internal: jumlah segmen, Active Directory, dan apakah penguji datang ke lokasi.
• Cloud: jumlah akun atau langganan, peninjauan konfigurasi identitas dan penyimpanan.
• Pendekatan: black box (tanpa informasi), grey box (akun uji dan sedikit dokumentasi), white box (akses kode atau konfigurasi). Grey box sering memberi hasil terbaik per hari yang dibayar.

Contoh ilustratif: aplikasi web, API, dan jaringan eksternal

Bila anggaran tidak cukup, jangan memotong hari secara merata. Lebih baik mengurangi cakupan dengan sadar (misalnya menunda jaringan eksternal ke triwulan berikutnya) daripada menguji semuanya terlalu dangkal.

Isi laporan yang layak dibayar

1. Ringkasan eksekutif dalam bahasa yang dipahami direksi.
2. Ruang lingkup, tanggal, metode, dan akun uji yang dipakai.
3. Setiap temuan dengan tingkat keparahan, bukti (permintaan dan respons, tangkapan layar), dampak bisnis, dan langkah perbaikan yang spesifik.
4. Pembedaan temuan terverifikasi dan dugaan.
5. Daftar hal yang tidak diuji, supaya tidak ada rasa aman palsu.
6. Hasil uji ulang: temuan mana yang tertutup, mana yang masih terbuka.

Tanyakan juga siapa yang mengerjakan: nama dan sertifikasi penguji yang dapat diverifikasi, dan apakah pekerjaan disubkontrakkan.

Persiapan supaya hari yang dibayar tidak terbuang

• Siapkan lingkungan uji yang mirip produksi, atau sepakati jendela waktu pengujian di produksi.
• Buat akun uji untuk setiap peran sebelum hari pertama.
• Beri tahu penyedia hosting, cloud, atau MSSP Anda bila aturan mereka mensyaratkan pemberitahuan.
• Pastikan penyedia MDR tahu jadwal dan alamat IP penguji, supaya serangan uji tidak diperlakukan sebagai insiden nyata, atau justru sengaja tidak diberi tahu bila Anda ingin menguji deteksinya (tuliskan keputusan itu).
• Tandatangani surat izin dan aturan pelaksanaan; lihat izin uji penetrasi.

Membandingkan tiga penawaran uji penetrasi

Misalkan Anda menerima tiga penawaran untuk ruang lingkup yang sama, yaitu aplikasi web dengan API dan 32 IP publik. Angka berikut ilustratif.

Penawaran B paling murah per hari, tetapi 6 hari untuk aplikasi dengan tiga peran pengguna dan API kemungkinan hanya cukup untuk pengujian dangkal. Penawaran C tidak bisa dinilai sampai penyedia menyebut jumlah hari dan metode. Pertanyaan yang menyamakan ketiganya: berapa hari per komponen, berapa penguji, apakah ada pengujian manual atas kontrol akses antar peran, dan apa saja yang termasuk dalam uji ulang. Setelah dijawab, sering terlihat bahwa selisih harga sebenarnya adalah selisih kedalaman.

Pertanyaan yang sering diajukan

Seberapa sering perlu uji penetrasi?

Tidak ada frekuensi umum yang diwajibkan untuk semua usaha. Praktik umum adalah setahun sekali dan setiap ada perubahan besar. Sektor tertentu, misalnya perbankan, memiliki ketentuan pengujian sendiri dari regulatornya.

Apakah hasil pentest bisa dipakai untuk menjawab kuesioner klien?

Ya, biasanya ringkasan eksekutif dan surat keterangan pengujian. Jangan kirim laporan lengkap berisi rincian celah yang belum diperbaiki.

Apakah uji ulang selalu ditagih terpisah?

Tidak selalu. Sebagian penawaran memasukkan satu kali uji ulang dalam jangka waktu tertentu. Tuliskan batas waktunya.

Apakah harga berbeda bila penguji datang ke lokasi?

Biasanya ya, karena ada biaya perjalanan dan waktu tempuh. Pengujian internal bisa juga dilakukan jarak jauh lewat perangkat yang dipasang di jaringan Anda.

Sumber resmi

• BSSN — panduan keamanan sistem elektronik dan pelaporan kerentanan
• Pasal.id — KUHP (UU 1/2023) Pasal 332 tentang akses ilegal dan UU ITE yang masih berlaku
• Otoritas Jasa Keuangan — ketentuan pengujian keamanan bagi lembaga jasa keuangan
• Direktorat Jenderal Pajak — PPN dan PPh 23 atas jasa